Re: [情報] Intel嚴重漏洞 OS更新將會降低效能

作者: sachajam (沙茶醬)   2018-01-05 18:06:51
假定你希望知道你老闆最近在哪裡出差,但是按照公司規定,你是無法知道老闆行
蹤的。所以你決定嘗試竊取這個秘密。
於是,你給老闆的秘書打電話說「你能不能幫我查下老闆的日程,看看老闆在哪裡出差,
再幫我去公司客戶關係管理系統裡面查下,看看那邊我名下近期需要拜訪的重點客戶,
這些可能是需要老闆幫忙拜訪的。」
秘書很敬業,先是查了老闆的日程,發現老闆在台北;然後又花了幾分鐘時間從客戶關
係管理系統裡把近期需要拜訪的台北重點客戶名單拿出來。這時,她突然反應過來你是
不應該知道老闆現在在哪裡的。於是她回電話告訴你「不好意思,我覺得你不應該瞭解
老闆去了哪裡。」
你回復道:「那好吧,忘記剛才的一切,現在我想查詢一下有哪些台北、台中、台南、
台西的重點客戶是我近期需要拜訪的?」
因為秘書剛剛已經從系統裡查到了台北對應的客戶,並且你有權限瞭解這些,她立即就回
答你:「近期需要拜訪的台北重點客戶有A,B,C…….」,幾分鐘後,她再補充:「近期需
要拜訪的台中、台南、台西重點客戶…….」
通常情況下,從系統裡面調取出這些信息需要好幾分鐘,但是秘書能立即告訴你台北的客
戶信息,於是你就知道剛才她在客戶關係管理系統裡查詢的地點是台北,所以你就可以推
測得到老闆是在台北出差。最終,秘密就這樣洩露了。
CPU執行的過程,有一個很重要的加速優化技術叫做「speculative execution」, 其實就
和以上比喻中秘書的工作方式一樣, 她只有在告訴你結果的時候,才發現你不應該瞭解
這個信息。但是此時,通過下一步執行結果的速度變化, 仍然有可能暴露重要的信息,
這就是所謂的」time based side channel attack(基於時間的旁路攻擊)」。
Intel的CPU在伺服器市場可能佔據了99%,一旦它出了問題,就意味著有很多服務
器上的敏感數據都可能洩露。 因此這是一次非常嚴重的安全事故,有可能比Heartbleed
更嚴重。
所以,似乎也解釋了為啥軟體更新後會引起性能的下降。
作者: likeyousmile   2018-01-05 20:56:00
推!ptt廢文海中的清流

Links booklink

Contact Us: admin [ a t ] ucptt.com